Alguien te roba una clave de API, se pone a lanzar inferencia a volumen con ella y la factura te llega a ti. Eso es el LLMJacking, y Google acaba de ponerle números que asustan.
Qué ha pasado
El lunes, el equipo de respuesta a incidentes Mandiant y el grupo de inteligencia de amenazas de Google publicaron un informe sobre el robo de acceso a modelos en la nube. Lo recogió The Register. Los datos concretos:
- Cargos fraudulentos que pueden superar los cien mil dólares en un solo día.
- En algunas organizaciones el acumulado llegó al millón de dólares antes de que la víctima revocase el acceso.
- Un grupo que Google sigue como UNC6993 entró con claves de API ajenas, se generó claves nuevas, activó servicios dentro de los proyectos cloud de la víctima y dejó cien mil dólares de factura.
- Otro intruso ejecutó más de 500.000 llamadas a la API en menos de ocho horas con claves robadas de terceros, para alimentar un servicio de reventa de tokens llamado Jet Night.
- CrowdStrike documentó en agosto un caso extremo: unas 200.000 peticiones a la API en dos minutos.
El modus operandi tiene detalles que merece la pena leer despacio. Uno de los ladrones suscribía las cuentas de sus víctimas a pago por uso para alcanzar modelos avanzados, elegía los más caros, lanzaba inferencia a volumen y aplicaba lo que el informe llama «quemar y rotar»: crear y borrar cuentas de servicio de vida corta para esquivar los límites de ritmo. Y, mientras tanto, consultaba el panel de facturación de la víctima para ir viendo el daño económico. El atacante audita tu factura antes que tú.
Otro detalle: montaron una página que imitaba el portal de acceso a un grupo de usuarios de modelos y pedía pegar el JSON con un token activo. Con eso se saltaban contraseña y segundo factor, porque el token ya estaba emitido.
Y hay reparto de papeles: unos consiguen el acceso inicial —en un caso de mediados de 2026, una clave de cuenta de servicio mal configurada— y otros, a los que Google llama LLM Mixers, se encargan de monetizarlo aguas abajo.
«Siempre que pueden, los atacantes quieren usar esta tecnología para tener ventaja de escala sobre quien defiende», dijo John Hultquist, analista jefe del grupo de inteligencia de amenazas de Google, a The Register.
Por qué importa
La inferencia se ha convertido en un recurso robable, como lo fue la CPU para minar criptomonedas. Pero hay dos diferencias que lo hacen peor.
La primera es contable. El gasto en IA es una línea nueva en el presupuesto de casi todo el mundo, y casi nadie tiene todavía una base de comparación de lo que es normal. Un pico de CPU en una máquina que siempre va al 5 % se ve. Un proyecto de IA que pasa de dos mil a veinte mil en un mes se parece mucho a «el equipo ha empezado a usarlo en serio». Esa ambigüedad es exactamente el escondite que necesita el atacante.
La segunda es la velocidad. Doscientas mil peticiones en dos minutos y medio millón de llamadas en ocho horas significan que una alerta que se revisa al día siguiente, o un informe de coste que miras al cerrar el mes, llegan tarde por varios órdenes de magnitud.
Qué haría alguien distinto a partir de hoy:
- Tope de gasto duro por proyecto y, si tu proveedor lo permite, por clave. No una alerta: un corte.
- Alertas por importe y hora, no por importe y mes.
- Proyecto cloud separado para la IA, con su facturación aparte. Lo que no está mezclado se ve.
- Secretos en un gestor central —Secret Manager o equivalente— con rotación automática, y escaneo de secretos en el código para sacar las claves que alguien pegó en un repositorio hace año y medio.
- Mínimo privilegio de verdad en cuentas de servicio: quién puede crear claves nuevas y quién puede habilitar servicios de pago dentro del proyecto. Ese permiso es el que convierte una intrusión pequeña en un millón de dólares.
Qué no cambia
Seamos justos con la noticia. Cien mil dólares al día es el caso extremo, no la media; el titular lo pone donde más duele. Y nada de esto es un fallo nuevo: no hay agujero en las APIs de los modelos ni en los modelos mismos. Es robo de credenciales de toda la vida contra un recurso caro, con el mismo manual que el cryptojacking de hace cinco años y con las mismas contramedidas aburridas de siempre, las que recomienda el propio informe.
Lo de Jet Night, además, es una deducción, no una confesión: Google concluye que vive de claves robadas porque un plan sin límite por unos sesenta dólares al mes no se sostiene cuando el equivalente legítimo ronda entre cien y doscientos cincuenta. Razonable, pero inferencia. La pista más sólida es otra: el propio servicio ha ido admitiendo caídas en su canal de Telegram, compatibles con víctimas que descubren el robo y revocan las claves.
Y si ya tienes el cloud atado, rotas secretos y no hay claves en el código, esta noticia no te obliga a hacer nada nuevo. Te obliga a comprobar que es verdad.
Nuestra lectura
Lo que me parece más interesante del informe no es el dinero: es la página que pedía pegar un JSON con el token dentro. Llevamos años diciendo «pon segundo factor» como si fuera el final del camino, y aquí el atacante ni lo intenta. Va directo al token ya emitido, que es una contraseña con otro nombre, que suele durar más de lo que debería y que casi nadie rota. Si tu modelo mental de identidad acaba en el login, ya vas tarde.
Me parece mal, y lo digo con cariño, cómo se está contando esto en clave de «peligros de la IA». No es un problema de IA. Es un problema de gestión de identidades y secretos en el que la IA solo ha puesto el precio: la unidad robada ha pasado de valer céntimos a valer euros por minuto. Quien tenga su IAM en condiciones duerme igual de bien que antes; quien no lo tenga, lo va a descubrir por la factura.
Mi apuesta es que esto envejece como el cryptojacking: dentro de un año será rutina, dejará de ser noticia y seguirá pasando, porque el cuello de botella nunca es saber qué hay que hacer, sino que a alguien le toque hacerlo. Y hay un detalle que me preocupa más que el gasto: una clave tuya usada para atacar a terceros deja un rastro que apunta a tu organización. El dinero se discute con el proveedor; la atribución, no.
Si tuviera que elegir una sola medida para mañana, sería el tope de gasto duro por proyecto. No porque sea la mejor defensa —no lo es—, sino porque es la única que funciona cuando todo lo demás ya ha fallado y convierte un millón de dólares en una incidencia.
Esto es justo lo que nos encontramos cuando entramos a ordenar la nube de alguien que lleva un año metiendo IA en sus procesos: el modelo funciona, el coste nadie lo mira y las claves están en cuatro sitios que ya nadie recuerda.
Cualquier duda me dices y lo vemos.
Un saludo, Vicente.